Nowa strategia: od obrony pasywnej do aktywnej cyberobrony
Rząd federalny planuje zasadniczą zmianę strategii w niemieckim cyberbezpieczeństwie. Uchwalony przez radę ministrów projekt ustawy ma przyznać Federalnemu Urzędowi Bezpieczeństwa Informatycznego (BSI), policji federalnej i Federalnemu Urzędowi Kryminalnemu (BKA) rozszerzone uprawnienia do "aktywnej cyberobrony". Działania te wykraczają wyraźnie poza dotychczasowe podejścia prewencyjne i po raz pierwszy pozwalają na bezpośrednią ingerencję w struktury napastników.
Federalny minister spraw wewnętrznych Alexander Dobrindt (CSU) opisuje nowe podejście jako proaktywne: "Uderzamy w odwecie, wyłączamy zagrożenie, gdy zostaniemy zaatakowani, będziemy mogli zakłócać napastników i niszczyć ich infrastrukturę." Zapowiedź ta wyznacza zmianę paradygmatu z czysto defensywnej na ofensywną strategię cybernetyczną.
Konkretne uprawnienia i działania w szczegółach
Projekt ustawy przewiduje różne nowe narzędzia, które mają zostać udostępnione organom bezpieczeństwa:
- zakaz eksploatacji systemów informatycznych, od których wychodzi zagrożenie
- przekierowanie ruchu danych w celu analizy i przerwania ataków
- odczytywanie, usuwanie lub zmienianie danych w obcych systemach
- występowanie przeciwko zmieniającym się złośliwym domenom internetowym
BSI ma otrzymać uprawnienie do wyszukiwania i identyfikowania – na wniosek instytucji, w ich systemach IT – działań przygotowawczych napastników. Szczególny nacisk położono przy tym na zwalczanie dystrybucji złośliwego oprogramowania przez skompromitowane domeny.
Do wdrożenia planowanych zmian potrzebnych będzie łącznie 37 dodatkowych pracowników, co uwidacznia oczekiwany nakład pracy w nowych obszarach zadań.
Uzasadnienie: Niemcy na celowniku międzynarodowych cyberataków
Rząd federalny uzasadnia zmianę ustawy nasilającą się sytuacją zagrożenia. Niemcy jako wiodąca gospodarka Europy znajdują się w coraz większym stopniu w centrum zainteresowania cyberataków, które mogą wywoływać częściowo duże skutki. Szczególnie zagrożenia hybrydowe zyskują na znaczeniu.
Obce mocarstwa, aktorzy państwowi lub powiązane z nimi organizacje są coraz częściej sprawcami cyberataków przeciwko Niemcom. Ataki wymierzone są w gospodarkę, przemysł, jednostki państwowe i politykę, a ich celami są:
- szpiegostwo
- sabotaż
- szantaż
- demonstracja siły w przestrzeni cyfrowej
Według projektu ustawy "same działania prewencyjne we własnych systemach IT nie dają wystarczającej ochrony" przed zakrojonymi na szeroką skalę cyberatakami o dużym potencjale szkód. Dlatego organy muszą otrzymać uzupełniające możliwości bezpośredniego udaremniania takich ataków.
Rozgraniczenie między zapobieganiem zagrożeniom a ściganiem karnym
Dodatkowe uprawnienia policji federalnej mają służyć wyłącznie zapobieganiu zagrożeniom, a nie ściganiu karnemu. Szczególne działania obronne przewidziane są tylko w określonych przypadkach, na przykład gdy zagrożenie wymierzone jest w "organy lub instytucje, których funkcjonowanie ma istotne znaczenie dla wspólnoty lub obrony".
Krytyczne głosy z gospodarki
Zrzeszenie gospodarki internetowej Bitkom wprawdzie zasadniczo z zadowoleniem przyjmuje silniejsze zaangażowanie rządu federalnego w cyberobronę, dostrzega jednak problematyczne aspekty. Szczególnie krytycznie Bitkom ocenia nowe uprawnienia interwencyjne policji federalnej i BKA, umożliwiające kontrataki na systemy napastników.
Główny punkt krytyki: "Ponieważ cyberataków technicznie często nie da się przypisać bez wątpliwości, a sprawcy zostawiają fałszywe ślady, grozi dotknięcie niezaangażowanych osób trzecich." Ocena ta wskazuje na techniczną złożoność atrybucji cyberataków i możliwe szkody uboczne.
Również Federalny Związek Przemysłu Niemieckiego (BDI) wyraża potrzebę poprawek. Krytyka wymierzona jest w podejście skoncentrowane na państwie: "Projekt stawia dotąd zbyt mocno na państwowe uprawnienia władcze, a zbyt mało na współpracę z gospodarką." Obowiązki współdziałania przedsiębiorstw musiałyby zostać ujęte precyzyjniej i bardziej proporcjonalnie.
Znaczenie dla branży bezpieczeństwa
Planowane zmiany ustawowe mają dalekosiężne implikacje dla całej branży bezpieczeństwa. Przedsiębiorstwa muszą przygotować się na wzmożone możliwości interwencji ze strony organów i odpowiednio dostosować swoje koncepcje bezpieczeństwa IT. Dotyczy to zarówno infrastruktury technicznej, jak i prawnych wymagań compliance.
Dla dostawców techniki zabezpieczeń powstają nowe obszary biznesowe, ponieważ zwiększona aktywność państwa czyni koniecznymi także odpowiednie środki ochrony dla przedsiębiorstw. Popyt na solidne rozwiązania bezpieczeństwa powinien dalej rosnąć.
Perspektywy: zmiana paradygmatu z otwartymi pytaniami
Projekt ustawy wyznacza fundamentalną przemianę w niemieckiej strategii cyberbezpieczeństwa. Po raz pierwszy jednostki państwowe mają nie tylko działać defensywnie, lecz móc aktywnie ingerować w obce systemy. Niesie to jednak ze sobą wyzwania prawne i techniczne, które nie zostały jeszcze w pełni wyjaśnione.
Krytyka zrzeszeń gospodarczych pokazuje, że balansowanie między skuteczną cyberobroną a ochroną niezaangażowanych osób trzecich stanowi centralne wyzwanie. To, jak ta aktywna cyberobrona sprawdzi się w praktyce i czy prawne warunki ramowe są wystarczająco precyzyjne, okaże się dopiero podczas stosowania.
Przedsiębiorstwa powinny już teraz przygotowywać się na zmieniony stan prawny i odpowiednio dostosować swoje koncepcje bezpieczeństwa. Współpraca między jednostkami państwowymi a prywatną gospodarką będzie przy tym miała decydujące znaczenie dla sukcesu nowej strategii.
